面向 5G 网络的零接触调配

November 21, 2019

Rich Nass

网络, 安全, 5G

5G 网络的一个物理变化是基站需要彼此更加靠近，两个基站之间往往只隔几百米远。这是因为与前代相比，5G 使用更短但功率更高的波长。

基站的增加以及网络节点的相应增多意味着潜在的安全漏洞数量和攻击面会显著增大（图 1）。

身份验证可以防范潜在的安全问题

在 5G 网络中，提高安全的一种方法是使用功能更强大的设备身份验证。这项技术并不是新技术，但是在 5G 网络中，它需要一些变化。

所有身份验证都涉及网络基础架构的三个部分：

请求信息的设备
传送请求的网络
接收请求的端点

公钥交换等程序使用这些网络元素来验明通信的每个参与方的真身。5G 网络也一样，只不过网络元素是：

请求信息的设备
传送请求的网络
接收请求的端点网络（或本地网络）

这里的区别在于，请求信息必须先向通过边缘网络身份验证，然后才能到达终点（图 2）。这种方法称为“主要身份验证”，可以降低风险，防范坏蛋分子窜到网络上作乱。例如，它可以防范侧信道攻击，保护数十台设备免遭毒手。

为实现这个目标，在来源网络和目的地网络之间运作的一项安全功能允许执行身份验证的网络拒绝任何身份验证请求。端点网络本身具有决定是通过传入请求的身份验证还是拒绝它的最终决定权。对于所有 5G 网络，身份验证是强制性的。

因此，在执行主要身份验证的过程中，通常会与端点网络上存储密钥的身份验证服务器共享加密密钥。随后，通过网络来回发送请求，以确保使用这些共享的密钥保持安全，就如标准 PKI 一样。

保护网络节点

当然，所有身份验证都基于信任网络上设备的身份的能力。这意味着必须保护每一个端点的安全；而保护每一个端点的安全是物联网和其它连接的设备 OEM 的责任。

保持这些设备身份的诚信需要硬件安全和完善的设备管理相结合。

例如，采用 Telit OneEdge。这个物联网设备管理平台即服务 (paas) 可以与公司支持 5G 的蜂窝模块结合使用。在制造时，会用唯一的 ID、设备凭据和 SIM 功能预先调配支持的模块，并将这些信息锁定在硬件的一个受信任区域中。

每个模块的相应凭据存储在一个安全的云环境中，从而使设备能够在加入网络时向 OneEdge 平台验证身份。此过程称为零接触调配，可确保设备身份在设备尝试注册时即可得到信任（图 3）。

图 3. 零接触调配会在连接的设备加入网络时即刻验证它们的身份。（资料来源：Semantic Scholar）

连接后，OneEdge 用户可以从基于云的仪表板无缝地监控设备。此仪表板可支持自动化的操作、警报和报警，可用于识别和阻止可疑的网络活动（图 4）。此外，它还集成了设备管理和通过 Telit AppCenter 无线更新功能，使设备 OEM 可以快速封堵漏洞。

图 4. Telit OneEdge 包括一个监控仪表板，其具有自动警报和远程设备管理功能。（资料来源：Telit）

Telit OneEdge 与许多运营商网络兼容，其中包括 Verizon、AT&T、Vodafone、T-Mobile 和 Telefonica。云连接器还提供与其它企业物联网平台的安全集成，例如 AWS、Google 云、Microsoft Azure、IBM Watson、SAP、MindSphere 和 Oracle 云。